Más brechas, más problemas: el coste de la confianza en aplicaciones de terceros

No es ningún secreto que nuestra misión principal es hacer que el software y su desarrollo sean seguros, diseñados pensando en la seguridad desde el inicio mismo de la producción. Nuestra visión establece un nuevo estándar para la creación de software, donde los desarrolladores cuentan con las habilidades y el conocimiento para detectar código vulnerable durante el proceso de escritura y corregirlo antes de que se convierta en un problema.

Teniendo esto en cuenta, podría pensarse que nos alegra enterarnos de nuevas filtraciones de datos, ciberataques y códigos explotados que afectan a empresas de todo el mundo; esos incidentes sin duda resaltan la necesidad de nuestro servicio en múltiples sectores. La verdad es que resulta bastante frustrante. Está claro que, como industria, estamos cometiendo los mismos errores una y otra vez, porque la mayoría de la formación en seguridad simplemente no es lo suficientemente sólida como para minimizar el riesgo y detener estas brechas.

La última víctima de una filtración de datos es Ticketmaster. Si usted fue uno de los miles de clientes afectados, habrá recibido un correo electrónico notificándole el incidente y pidiéndole que cambie su contraseña. Nadie espera que sus datos personales sean vulnerados simplemente por comprar entradas para un concierto o un evento deportivo, y sin embargo, aquí estamos.

Es una situación terrible para todos; perjudicial para la reputación de Ticketmaster y una experiencia de cliente francamente nefasta. Sin embargo, hay un problema: no fue totalmente culpa suya.

Verá, la empresa utilizó los servicios de una aplicación de atención al cliente de terceros de Inbenta Technologies. Ticketmaster UK descubrió que el producto contenía código malicioso, lo que provocó que el cinco por ciento de los datos de sus clientes a nivel mundial quedara comprometido.

¿Y cómo lograron exactamente los hackers explotar este sistema? Manipularon una sola línea de código JavaScript, personalizada por Inbenta Technologies para los requisitos de Ticketmaster. Según Inbenta, el código se utilizó en una página para la que no estaba diseñado y, de haberlo sabido, lo habrían identificado como una vulnerabilidad de seguridad.

La vulnerabilidad en sí es esencialmente un problema de seguridad en la biblioteca de carga/almacenamiento de archivos, donde una sola brecha puede afectar a todos los sitios en los que se carga el mismo código. El código puede modificarse para recopilar y redirigir datos personales a los atacantes, solo para empezar. Se trata de un exploit sencillo con un potencial de daño de gran alcance, y es algo contra lo que estamos trabajando para defendernos con una gama de ejercicios de formación dentro de la plataforma para desarrolladores.

Por supuesto, es prácticamente imposible dirigir un negocio sin depender de algunas aplicaciones de terceros. Sin embargo, usted no tiene control sobre cómo construyen su software y tiene prácticamente cero visibilidad sobre la solidez de seguridad de su código. Se convierte en un ejercicio de confianza. Si su socio externo es negligente en sus prácticas de codificación segura, puede estar abriendo la puerta a una brecha en su empresa.

Entonces, ¿cuál es la solución? En pocas palabras: todos debemos hacerlo mejor. Debemos dejar de ver la seguridad como un obstáculo molesto para la innovación de la empresa.

Es más fácil de lo que cree dotar a su equipo de desarrollo de las herramientas y los conocimientos adecuados para adoptar la seguridad y detener el código defectuoso en seco. Nos ha complacido ver a muchas de las empresas de finanzas, telecomunicaciones, comercio minorista y tecnología más grandes y conocidas del mundo adoptar este nuevo enfoque, pero la formación en seguridad no debería ser dominio exclusivo de las empresas de la lista Fortune 100. Toda empresa que cuente con desarrolladores entre su personal necesita implementar formación para ayudar a los equipos a programar de forma segura.

El informe técnico publicado recientemente, que escribí junto con nuestro CTO Matias Madou, muestra los beneficios de construir una cultura de seguridad en su organización. Detallamos por qué es la clave para desbloquear la innovación, mantener la agilidad y reducir el impacto financiero del código inseguro.

Encontrará consejos que incluyen:

* Cómo hacer que la formación en seguridad sea relevante y atractiva para los desarrolladores

* Cómo enseñar a los desarrolladores a identificar y solucionar sus propios problemas

* Cómo ayudar a los desarrolladores a construir su propio código de forma segura.

Le invito a descargar este recurso y utilizarlo para defender la seguridad en su organización, desarrollar las habilidades de su equipo y estar a la vanguardia en el establecimiento de un estándar de código más alto.

Debemos dejar de ver la seguridad como un obstáculo molesto para la innovación de la empresa.